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Beschreibung 

Anordnung zur Uberwachung des ordnungsgemafien Betriebes von 
die selben oder einander entsprechende Aktionen ausfiihrenden 
5 Komponenten eines elektrischen Systems 

Die vorliegende Erfindung betrifft eine Vorrichtung gemafi dem 
Oberbegriff des Patentanspruchs 1, d.h. eine Anordnung zur 
Oberwachung des ordnungsgemaJien Betriebes von die selben oder 
10 einander entsprechende Aktionen ausfuhrenden Komponenten 
eines elektrischen Systems. 

Systeme, die mehrere Komponenten aufweisen, die die selben 
Oder einander entsprechende Aktionen ausfuhrenden, sind ins- 
15 besondere ausf allsichere Systeme (fail safe systems) oder 
f ehlertolerante Systeme (failure tolerant systems) . 

Die die selben oder einander entsprechende Aktionen ausfiih- 
renden Systemkomponenten, welches im einfachsten Fall iden- 
20 tisch aufgebaute und identisch betriebene Systemkomponenten 

(beispielsweise identisch aufgebaute und identisch betriebene 
Mikroprozessoren oder Mikrocontroller ) sind, ermoglichen es, 
in den Systemkomponenten auftretende Fehler zu erkennen so 
darauf zu reagieren, daI3 das System fehlerfrei weiterarbeiten 
kann oder deaktiviert wird. 

Die Oberpriifung, ob in einer der mehreren Systemkomponenten, 
die die selben oder einander entsprechende Aktionen ausfuh- 
ren, ein Fehler aufgetreten ist, erfolgt im allgemeinen da- 
30 durch, dafi uberprUft wird, ob diese Systemkomponenten iden- 
tische Oder einander entsprechende Ergebnisse oder Zwischen- 
ergebnisse lief ern. 
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Diese Oberpriifung kann 

- durch in den zu iiberprUf enden Systemkomponenten integrierte 
Oberwachungseinrichtungen, oder 



2 

- durch eine auBerhalb der zu liberpruf enden Systemkomponenten 
vorgesehene, ftir alle Systemkomponenten gemeinsame Ober- 
wachungseinrichtung 

5 

erfolgen. 

Wenn durch eine der Oberwachungseinrichtungen festgestellt 
wird, daii die einander gegenuberzustellenden Daten (aus- 
10 gewahlte Ergebnisse Oder Zwischenergebnisse der zu iiber- 
wachenden Systemkomponenten, oder diese reprasentierende 
Daten) voneinander abweichen oder einander nicht entsprechen, 
wird 

15 - die fehlerhafte Systemkomponente deaktviert und gegebenen- 
falls durch eine der anderen Systemkomponenten ersetzt (bei 
failure tolerant systems), oder 

- das gesamte System deaktiviert (bei fail safe systems) . 

20 

Dadurch kann vermieden werden, dafi ein Fehler in einer der 
Systemkomponenten zu einem Ausfall des Systems fuhrt und/oder 
die Sicherheit des Systems gefahrdet. 

Die Erfahrung zeigt jedoch, daB dies nicht unter alien Um- 
standen zuverlassig gewahrleistet ist. 

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, 
die Anordnung gemaJi dem Oberbegriff des Patentanspruchs 1 
30 derart weiterzubilden, daB unter alien Umstanden zuverlassig 
erkannt werden kann, ob und gegebenenf alls welche System- 
komponente fehlerhaft arbeitet. 
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Diese Aufgabe wird erf indungsgemaB durch die im kennzeichnen- 
den Teil des Patentanspruchs 1 beanspruchten Merkmale gelost. 
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Die erf indungsgemalie Anordnung zeichnet sich demnach dadurch 
aus, dali jeder der zu iiberwachenden Systemkoitiponenten minde- 
stens eine unabhangig von den zu Iiberwachenden Systemkompo- 
nenten betreibbare eigene Uberwachungseinrichtung zugeordnet 
ist . 



Dadurch, dalJ zur Oberwachung der zu iiberwachenden System- 
komponenten eine Vielzahl von Oberwachungseinrichtungen vor- 
gesehen ist, kann es - anders als beim Vorsehen von nur einer 
10 einzigen, fur alle Systemkomponenten gemeinsamen Uber- 
wachungseinrichtung - nicht Oder jedenfalls nicht automatisch 
^ dazu kommen, dafl eine Oberwachungseinrichtungs-Fehlf unktion 

einen kompletten Ausfall des Systems oder der Oberwachung zur 
Folge hat. 

15 

Dadurch, dali die Oberwachungseinrichtungen unabhangig von den 
zu iiberwachenden Systemkomponenten betreibbar sind, kann es - 
anders als bei der Integration der Oberwachungseinrichtungen 
in die zu uberwachenden Systemkomponenten - nicht oder jeden- 
20 falls nicht automatisch dazu kommen, daii ein Fehler in einer 
zu iiberwachenden Systemkomponente gleichzeitig eine Fehl- 
funktion der zugeordneten Uberwachungseinrichtung zur Folge 
hat . 

iff 5 Durch die beanspruchte Anordnung kann mi thin unter alien 

Umstanden zuverlassig erkannt werden, ob und gegebenenf alls 
welche der zu iiberwachenden Systemkomponenten fehlerhaft 
arbeitet . 

30 Vorteilhafte Weiterbildungen der Erfindung sind den Unter- 
anspruchen, der folgenden Beschreibung und den Figuren ent- 



nehmbar . 
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Die Erfindung wird nachfolgend anhand von Ausf tihrungsbeispie- 
len unter Bezugnahme auf die Figuren naher erlautert. Es zei- 
gen 
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Figur 1 ein System itiit einem ersten Ausf lihrungsbeispiel der 
nachfolgend naher beschriebenen Anordnung zur Ober- 
wachung des ordnungsgemaJien Betriebes von die selben 
Oder einander entsprechende Aktionen ausfiihrenden 
5 Komponenten eines elektrischen Systems, und 

Figur 2 ein System mit einem zweiten Ausf lihrungsbeispiel der 
nachfolgend naher beschriebenen Anordnung zur Ober- 
wachung des ordnungsgemaflen Betriebes von die selben 
10 Oder einander entsprechende Aktionen ausfiihrenden 

Komponenten eines elektrischen Systems. 

Die im folgenden beschriebene Anordnung soil im betrachteten 
Beispiel die ordnungsgemafle Funktion eines Anti-Blockier- 
15 Systems eines Kraf tf ahrzeuges gewahrleisten . Genauer gesagt 
soil sie liberwachen, ob die selben oder einander entspre- 
chende Aktionen ausftihrende Komponenten des Anti-Blockier- 
Systems tatsachlich die selben oder einander entsprechende 
Aktionen ausfuhren oder ausfuhren werden. 

20 

Die die selben oder einander entsprechende Aktionen aus- 
fiihrenden Komponenten sind insbesondere 

- identisch aufgebaute und identisch betriebene System- 
^5 komponenten, oder 

- Systemkomponenten, die zwar nicht identisch aufgebaut sind 
und/oder identisch betrieben werden, aber die selben oder 
einander entsprechende Ergebnisse oder Zwischenergebnisse 

30 liefern, oder 

- Systemkomponenten, die zwar nicht die selben oder einander 
entsprechende Ergebnisse oder Zwischenergebnisse liefern, 
aber die selbe oder einander entsprechende Wirkungen ent- 

35 falten. 
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Die beschriebene Anordnung zeichnet sich dadurch aus, dafl 
jeder der zu uberwachenden Systemkoiuponenten mindestens eine 
unabhangig von den zu Uberwachenden Systemkomponenten be- 
treibbare eigene Oberwachungseinrichtung zugeordnet ist. 

5 

Die Oberwachungseinrichtungen 

- erhalten von den zu Uberwachenden Systemkomponenten zur 
Uberprufung des ordnungsgemaBen Betriebs geeignete 
10 Kontroll-Daten, 




- Uberprufen, ob diese Kontroll-Daten vorgegebene Bedingungen 
erf ullen. 



15 - legen abhangig vom Ergebnis der OberprUfung fest, ob und 

gegebenenf alls welche der zu Uberwachenden Systemkomponen- 
ten fehlerhaft arbeiten, und 

- sorgen dafUr, daii die fehlerhaften Systemkomponenten oder 
20 das gesamte System nicht mehr weiterarbeiten, falls ein 
Fehler erkannt wurde. 

Ein System, bei welcher jeder zu uberwachenden Systemkompo- 
nente eine Oberwachungseinheit zugeordnet ist, ist in Figur 1 
[.^5 gezeigt. 

Die zu Uberwachenden Systemkomponenten und die diesen zu- 
geordneten Uberwachungseinrichtungen sind im betrachteten 
Beispiel Bestandteil von verschiedenen, Uber einen Bus itlit- 
30 einander verbundenen Einheiten, 

Das in der Figur 1 gezeigte System umfaBt einen Bus BUS und 
Uber diesen verbundene Bus-Einheiten BUI, BU2, und BUS, wobei 
jede der Bus-Einheiten BUI, BU2, und BU3 eine mit den Bezugs- 
35 zeichen COREl, CORE2 bzw. C0RE3 bezeichnete programm- 

gesteuerte Einheit und einen mit den Bezugszeichen COMMl, 
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C0MM2 bzw. C0MM3 bezeichneten Kommunikations-Controller ent- 
halt. 



Der Vollstandigkeit halber sei angertierkt, dafl an den Bus BUS 
5 beliebig viele weitere Bus-Einheiten angeschlossen sein kon- 
nen, wobei die weiteren Bus-Einheiten einen beliebigen Aufbau 
und eine beliebige Funktion aufweisen konnen. 

Bei den prograitimgesteuerten Einheiten COREl, C0RE2 und C0RE3 
10 handelt es sich beispielsweise urn Mikroprozessoren, Mikro- 

controller oder Signalprozessoren . Diese programmgesteuerten 
Einheiten COREl, C0RE2 und C0RE3 sind im betrachteten Bei- 
spiel identisch aufgebaut und werden identisch betrieben. 

15 Die die Oberwachung der programmgesteuerten Einheiten COREl, 
C0RE2, und CORES durchf uhrenden Oberwachungseinrichtungen 
sind Bestandteil der Kommunikations-Controller COMMl, C0MM2, 
und C0MM3 . Genauer gesagt ist 

20 - die die programmgesteuerte Einheit COREl uberwachende Ober- 
wachungseinrichtung Bestandteil des Kommunikations-Con- 
trollers COMMl, 

- die die programmgesteuerte Einheit C0RE2 uberwachende Ober- 
/i^S wachungseinrichtung Bestandteil des Kommunikations-Con- 

trollers C0MM2, und 

- die die programmgesteuerte Einheit C0RE3 uberwachende Uber- 
wachungseinrichtung Bestandteil des Kommunikations-Con- 

30 trollers C0MM3 . 

Die Kommunikations-Controller COMMl, C0MM2, und COMM3 dienen 
dazu, zu andern Bus-Einheiten zu iibertragende Daten auf den 
Bus BUS auszugeben, und von anderen Bus-Einheiten uber den 
35 Bus BUS zu der betreffenden Bus-Einheit tibertragene Daten 

entgegenzunehmen . In den Figuren sind von den Kommunikations- 
Controllern nur die darin enthaltenen Oberwachungseinrichtun- 
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gen dargestellt. Der Aufbau, die Funktion und die Wirkungs- 
weise der eigentlichen Koininunikations-Controller sind bekannt 
und bediirfen keiner naheren Erlauterung. 

5 Die Kommunikations-Controller COMMl, C0MM2 und C0MM3 enthal- 
ten jeweils eine erste Speichereinrichtung SI, eine zweite 
Speichereinrichtung S2, eine dritte Speichereinrichtung S3, 
eine Vergleichseinrichtung Q, und eine Entscheidungseinrich- 
tung D, und sind uber einen Eingangsanschlufi INI und einen 

10 AusgangsanschluB OUTl mit der zugeordneten (der in der selben 
Bus-Einheit bef indlichen) programmgesteuerten Einheit, und 

^ uber Eingangsanschlusse IN2 und IN3, einen AusgangsanschluB 
0UT2 und einen Ein- und Ausgabeanschluii 10 mit deiti Bus BUS 
verbunden . 

15 

Die im ersten Kommunikations-Controller COMMl enthaltene 
Oberwachungseinrichtung 

- erhalt liber den Eingangsanschlufi INI von der ihr zugeordne- 
20 ten programmgesteuerten Einheit COREl Kontroll-Daten und 

speichert diese in der ersten Speichereinrichtung SI, 

- erhalt uber den Eingangsanschlufi IN2 von der zweiten pro- 
grammgesteuerten Einheit C0RE2 stammende und vom zweiten 

1^ Kommunikations-Controller C0MM2 tiber den Bus BUS uber- 

tragene Kontroll-Daten und speichert diese in der zweiten 
Speichereinrichtung S2 , 

- erhalt uber den Eingangsanschlufi IN3 von der dritten pro- 
30 grammgesteuerten Einheit C0RE3 stammende und vom dritten 

Kommunikations-Controller C0MM3 liber den Bus BUS uber- 
tragene Kontroll-Daten und speichert diese in der dritten 
Speichereinrichtung S3, 
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- ubertragt die von der ihr zugeordneten programmgesteuerten 
Einheit COREl erhaltenen und in der ersten Speichereinrich- 
tung SI gespeicherten Kontroll-Daten tiber den Ausgangs- 
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anschluB 0UT2 und den Bus BUS an den zweiten Kommunika- 
tions-Controller C0MM2 und an den dritten Kommunikations- 
Controller C0MM3, 

5 - iiberpriift durch die Vergleichseinrichtung C, ob die in den 
Speichereinrichtungen SI bis S3 gespeicherten Kontroll- 
Daten vorgegebene Bedingungen erfullen, 

- entscheidet durch die Entscheidungseinrichtung D abhangig 
10 vom Ergebnis des von der Vergleichseinrichtung C durch- 

gefuhrten Vergleichs, ob die zugeordnete programmgesteuerte 
^ Einheit COREl in Betrieb bleibt bzw. weiterarbeiten darf 

^ Oder deaktiviert werden muB, 

15 - steuert uber den Ausgangsanschlufi OUTl die zugeordnete 

programmgesteuerte Einheit COREl entsprechend der von der 
Entscheidungseinrichtung D getroffenen Entscheidung an, 

- ubermittelt die von der Entscheidungseinrichtung D getrof- 
20 fene Entscheidung uber den Ein- und Ausgabeanschluli 10 und 

den Bus BUS an den zweiten Kommunikations-Controller C0MM2 
und an den dritten Kommunikations-Controller C0MM3, und 

- empfangt uber den Ein- und AusgabeanschluB 10 die Ent- 
:|pf5 scheidungen, die durch die in den Kommunikations-Con- 

trollern C0MM2 und C0MM3 enthaltenen Entscheidungseinrich- 
tungen D getroffen wurden und durch die Kommunikations- 
Controller C0MM2 und C0MM3 zum ersten Kommunikations- 
Controller COMMl ubertragen werden. 

30 

Die im zweiten Kommunikations-Controller COMM2 enthaltene 
Oberwachungseinrichtung 
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- erhalt liber den EingangsanschluB INI von der ihr zugeordne- 
ten programmgesteuerten Einheit C0RE2 Kontroll-Daten und 
speichert diese in der ersten Speichereinrichtung SI, 
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erhalt uber den Eingangsanschluli IN2 von der ersten pro- 
grammgesteuerten Einheit COREl stammende und vom ersten 
Kommunikations-Controller COMMl uber den Bus BUS liber- 
tragene Kontroll-Daten und speichert diese in der zweiten 
Speichereinrichtung 32 , 

erhalt uber den EingangsanschluB IN3 von der dritten 
programmgesteuerten Einheit C0RE3 stammende und vom dritten 
Kommunikations-Controller C0MM3 uber den Bus BUS uber- 
tragene Kontroll-Daten und speichert diese in der dritten 
Speichereinrichtung S3, 

iibertragt die von der ihr zugeordneten programmgesteuerten 
Einheit C0RE2 erhaltenen und in der ersten Speichereinrich- 
tung SI gespeicherten Kontroll-Daten Uber den Ausgangs- 
anschluii 0UT2 und den Bus BUS an den ersten Kommunikations- 
Controller COMMl und an den dritten Kommunikations-Con- 
troller C0MM3, 

iiberpruft durch die Vergleichseinrichtung C, ob die in den 
Speichereinrichtungen SI bis S3 gespeicherten Kontroll- 
Daten vorgegebene Bedingungen erfullen, 

entscheidet durch die Entscheidungseinrichtung D abhangig 
vom Ergebnis des von der Vergleichseinrichtung C durch- 
gefiihrten Vergleichs, ob die zugeordnete programmgesteuerte 
Einheit C0RE2 in Betrieb bleibt bzw. weiterarbeiten darf 
Oder deaktiviert werden muli, 

steuert uber den Ausgangsanschlufl OUTl die zugeordnete 
programmgesteuerte Einheit COREl entsprechend der von der 
Entscheidungseinrichtung D getroffenen Entscheidung an, 

ubermittelt die von der Entscheidungseinrichtung D ge- 
troffene Entscheidung uber den Ein- und AusgabeanschluB 10 
und den Bus BUS an den ersten Kommunikations-Controller 
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COMMl und an den dritten Kommunikations-Controller C0MM3, 
und 

- empfangt uber den Ein- und AusgabeanschluJi 10 die Entschei- 
dungen, die durch die in den Kommunikations-Controllern 
COMMl und C0MM3 enthaltenen Entscheidungseinrichtungen D 
getroffen wurden und durch die Kommunikations-Controller 
COMMl und C0MM3 zum zweiten Kommunikations-Controller C0MM2 
ubertragen werden . 

Die im dritten Kommunikations-Controller C0MM3 enthaltene 
Oberwachungseinrichtung 

- erhalt tiber den EingangsanschluB INI von der ihr zugeordne- 
ten programmgesteuerten Einheit C0RE3 Kontroll-Daten und 
speichert diese in der ersten Speichereinrichtung SI, 

- erhalt iiber den EingangsanschluB IN2 von der ersten 
programmgesteuerten Einheit COREl stammende und vom ersten 
Kommunikations-Controller COMMl uber den Bus BUS uber- 
tragene Kontroll-Daten und speichert diese in der zweiten 
Speichereinrichtung S2 , 

- erhalt uber den EingangsanschluB IN3 von der zweiten 
programmgesteuerten Einheit C0RE2 stammende und vom zweiten 
Kommunikations-Controller C0MM2 uber den Bus BUS liber- 
tragene Kontroll-Daten und speichert diese in der dritten 
Speichereinrichtung S3, 

- ubertragt die von der ihr zugeordneten programmgesteuerten 
Einheit CORE3 erhaltenen und in der ersten Speichereinrich- 
tung SI gespeicherten Kontroll-Daten uber den Ausgangs- 
anschluB 0UT2 und den Bus BUS an den ersten Kommunikations- 
Controller COMMl und an den zweiten Kommunikations-Con- 
troller C0MM2, 
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- iiberpriift durch die Vergleichseinrichtung C, ob die in den 
Speichereinrichtungen SI bis S3 gespeicherten Kontroll- 
Daten vorgegebene Bedingungen erfullen, 

5 - entscheidet durch die Entscheidungseinrichtung D abhangig 
vom Ergebnis des von der Vergleichseinrichtung C durch- 
gefuhrten Vergleichs, ob die zugeordnete programmgesteuerte 
Einheit CORES in Betrieb bleibt bzw. weiterarbeiten darf 
Oder deaktiviert werden muB, 

10 

- steuert uber den Ausgangsanschluli OUTl die zugeordnete 
programmgesteuerte Einheit C0RE3 entsprechend der von der 

^ Entscheidungseinrichtung D getroffenen Entscheidung an, 

15 - ubermittelt die von der Entscheidungseinrichtung D ge- 

troffene Entscheidung uber den Ein- und Ausgabeanschlufi 10 
und den Bus BUS an den ersten Kommunikations-Controller 
COMMl und an den zweiten Kommunikations-Controller C0MM2, 
und 

20 

- empfangt uber den Ein- und Ausgabeanschluii 10 die Entschei- 
dungen, die durch die in den Kommunikations-Controllern 
COMMl und COMM2 enthaltenen Entscheidungseinrichtungen D 

^ getroffen wurden und durch die Kommunikations-Controller 

fH^^ COMMl und C0MM2 zum dritten Kommunikations-Controller uber- 
^ tragen werden. 



Die Kontroll-Daten, die die zu uberwachenden Systemkomponen- 
ten an die Oberwachungseinrichtungen ausgeben, sind Daten, 

30 die den Vergleichseinrichtungen C und den Entscheidungs- 
einrichtungen D die Feststellung ermoglichen, ob die zu 
uberwachenden Systemkomponenten identische oder einander 
entsprechende Aktionen ausfuhren; es handelt sich beispiels- 
weise um Ergebnisse oder Zwischenergebnisse der zu uber- 

35 wachenden Systemkomponenten oder diese reprasentierende 
Daten. 
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Wie vorstehend bereits iiberpriifen die Vergleichseinrichtungen 
C, ob die Kontroll-Daten der jeweils zugeordneten zu iiber- 
wachenden Systemkomponenten vorgegebene Bedingungen erfullen. 
Im betrachteten Beispiel geschieht dies durch einen Vergleich 
5 der Kontroll-Daten der zu uberwachenden Systemkomponenten, 

Die Entscheidungseinrichtungen D iiberpriifen anhand der 
Vergleichsergebnisse, ob die Kontroll-Daten aller zu iiber- 
wachenden Systemkomponenten gleich sind oder einander ent- 
10 sprechen. 

Sind die Kontroll-Daten aller zu iiberwachenden System- 
komponenten gleich oder einander entsprechende Kontroll- 
Daten, so folgern die Entscheidungseinrichtungen D daraus, 
15 dali die zu iiberwachenden Systemkomponenten identische oder 
einander entsprechende Aktionen ausfiihren, und lassen die 
jeweils zugeordnete Systemkomponente weiterarbeiten . 

Sind die Kontroll-Daten der zu iiberwachenden Systemkomponen- 
20 ten nicht gleich oder einander nicht entsprechende Kontroll- 
Daten, so folgern die Entscheidungseinrichtungen D daraus, 
daii eine der zu iiberwachenden Systemkomponenten fehlerhaft 
arbeitet. In diesem Fall ermitteln die Entscheidungseinrich- 
tungen, welches die fehlerhaft arbeitende Systemkomponente 
/^^5 ist, und hindern diese am Weiterarbeiten, 

Im Beispiel erfolgte dies dadurch, daB die Entscheidungs- 
einrichtungen 

30 - die Kontroll-Daten ermitteln, die von den meisten System- 
komponenten ausgegeben wurden, 

- festlegen, dafi eine Systemkomponente, die andere Kontroll- 
Daten ausgegeben hat, fehlerhaft arbeitet, und 
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- die zugeordnete Systemkomponente nicht weiterarbeiten las- 
sen, wenn festgestellt wurde, dafl diese fehlerhaft arbeitet 
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(bei failure tolerant systems) bzw, alle Systemkomponenten 
deaktivieren, wenn festgestellt wurde, daii eine der System- 
komponenten fehlerhaft arbeitet (bei fail safe systems) . 

5 Die Gefahr, dafl ein vorhandener Fehler nicht erkannt wird 
Oder dafi ein Fehler erkannt wird, der uberhaupt nicht vor- 
handen ist (dafi eine der Systemkomponenten oder das gesamte 
System irrtumlicher Weise weiterarbeiten darf oder deakti- 
viert wird) ist vernachlassigbar gering. 

10 

Einer der Grunde hierfur liegt darin, dafi es - anders als 
beim Vorsehen von nur einer einzigen, ftir alle System- 
ic komponenten gemeinsamen Uberwachungseinrichtung - nicht oder 
jedenfalls nicht automatisch dazu kommen kann, dafi eine Ober- 
15 wachungseinrichtungs-Fehlf unktion einen kompletten Ausfall 
des Systems oder der Oberwachung zur Folge hat. 

Ein weiterer Grund hierfur liegt darin, dafi es - anders als 
bei der Integration der Oberwachungseinrichtungen in die zu 
20 uberwachenden Systemkomponenten - nicht oder jedenfalls nicht 
automatisch dazu kommen kann, dafi ein Fehler in einer zu 
uberwachenden Systemkomponente gleichzeitig eine Fehlf unktion 
der zugeordneten Uberwachungseinrichtung zur Folge hat. 

5 Hinzu kommt, dafi die Entscheidungseinrichtungen D ihre Er- 
gebnisse uber die I/O-Anschllisse der Kommunikations-Con- 
troller austauschen, und damit auch Fehler innerhalb der 
Oberwachungseinrichtungen erkannt werden konnen. 

30 Oberaus vorteilhaft wird es sich auch aus, dafi die zu uber- 
wachenden Systemkomponenten (und die diesen zugeordneten 
Oberwachungseinrichtungen) in verschiedenen Bus-Einheiten, 
also mehr oder weniger weit voneinander entfernt vorgesehen 
sind. Dadurch kann verhindert werden, dafi unglinstige 
35 Umgebungsbedingungen (beispielsweise eine zu hohe Temperatur, 
elektromagnetische Storungen, eine zu hohe oder zu niedrige 
Oder schwankende Versorgungsspannung etc.) in mehreren oder 
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alien zu uberwachenden Systemkomponenten und/oder in mehreren 
Oder alien Uberwachungseinrichtungen den selben und dadurch 
eventuell nicht erkennbaren Fehler verursachen, 

5 Eine noch sicherere Oberwachung der zu uberwachenden System- 
komponenten ergibt sich, wenn den zu uberwachenden System- 
komponenten jeweils mehrere Uberwachungseinrichtungen zu- 
geordnet sind. Dadurch lassen sich in den zu uberwachenden 
Systemkomponenten und in den diesen zugeordneten Ober- 
10 wachungseinrichtungen auftretende Fehler noch sicherer 
erkennen, 

^ Ein System, bei welchem den zu uberwachenden Systemkomponen- 
ten jeweils mehrere eigene Oberwachungseinrichtungen zugeord- 
15 net sind, ist in Figur 2 gezeigt. 

Das in der Figur 2 gezeigte System unterscheidet sich von dem 
in der Figur 1 gezeigten System zusatzlich dadurch, 

20 - dali die Bus-Einheiten nicht "nur" uber einen Bus, sondern 
uber mehrere Busse verbunden sind, und 

- die Bus-Einheiten nicht "nur" mit einem Kommunikations- 
Controller sondern mit mehreren Kommunikations-Controllern 
"5 (einer der Anzahl der Busse entsprechenden Anzahl von 

Kommunikations-Controllern) ausgestattet sind, wobei jeder 
der Kommunikations-Controller einer jeweiligen Bus-Einheit 
einem anderen Bus zugeordnet ist. 

30 Es sei bereits an dieser Stelle darauf hingewiesen, dali sich 
das Vorsehen von mehrere Oberwachungseinrichtungen pro zu 
tiberwachender Systemkomponente auch bei Systemen als vor- 
teilhaft erweist, die nicht uber mehrere Busse, und/oder 
deren Bus-Einheiten nicht iiber mehrere Kommunikations- 

35 Controller verfiigen. 
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Das iiti folgenden beschriebene und in der Figur 2 nur aus- 
schnittsweise dargestellte System enthalt drei Bus-Einheiten, 
von welchen aus Grunden der Obersichtlichkeit nur eine ein- 
zige Bus-Einheit BUll dargestellt ist, und drei die Bus- 
5 Einheiten verbindende Busse Bl, B2 und B3, 

Jede der Bus-Einhei ten enthalt eine programmgesteuerte Ein- 
heit, drei Kommunikations-Controller , und ein UND-Glied. 
Diese Eleitiente sind bei der in der Figur 2 dargestellten Bus- 
10 Einheit BUll mit den Bezugszeichen COREll (programmgesteuerte 
Einheit), COMMll, C0MM12, C0MM13 {Kommunikations-Controller) 
und AND (UND-Glied) bezeichnet. 

Die Kommunikations-Controller COMMll, C0MM12, und C0MM13 wei- 
15 sen den selben Aufbau auf wie die beim System gemaB Figur 1 

verwendeten Kommunikations-Controller COMMl, C0MM2 und C0MM3; 
mit den selben Bezugszeichen bezeichnete Elemente entsprechen 
die selben oder einander entsprechende Elemente. 

20 Von den in den Bus-Einheiten vorgesehenen Kommunikations- 
Controllern ist 

- jeweils ein Kommunikations-Controller, genauer gesagt des- 
sen Anschlusse IN2, IN3, OUTl, und 10 mit dem ersten BUS Bl 
verbunden, 

- jeweils ein Kommunikations-Controller, genauer gesagt des- 
sen Anschlusse IN2, IN3, OUTl, und 10 mit dem zweiten BUS 
B2 verbunden, 

30 

- jeweils ein Kommunikations-Controller, genauer gesagt des- 
sen Anschlusse IN2, IN3, OUTl, und 10 mit dem dritten BUS 
B3 verbunden. 
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Die Eingangsanschlusse INI der jeweiligen Kommunikations- 
Controller sind mit den in den betreffenden Bus-Einheiten 
vorgesehenen programmgesteuerten Einheiten verbunden. 



Die Ausgangsanschliisse OUTl der jeweiligen Kommunikations- 
Controller sind mit den Eingangsanschlussen des UND-Gliedes 
AND der betreffenden Bus-Einheit verbunden. 

Die Ausgangsanschliisse der UND-Glieder AND sind mit den in 
der jeweilige Bus-Einheit vorgesehenen programmgesteuerten 
Einheit verbunden; iiber diese Verbindung wird die prograinni- 
gesteuerte Einheit gesteuert (aktiviert oder im aktivierten 
Zustand belassen oder deaktiviert) • 

Jeder der Kommunikations-Controller enthalt eine Ober- 
wachungseinr ichtung . 

Die im ersten Kommunikations-Controller COMMll der Bus-Ein- 
heit BUll enthaltene Oberwachungseinrichtung 

- erhalt iiber den Eingangsanschlufl INI von der ihr zugeordne- 
ten programmgesteuerten Einheit COREll Kontroll-Daten und 
speichert diese in der ersten Speichereinrichtung SI, 

- erhalt uber den ersten Bus Bl und den Eingangsanschlufl IN2 
von der zu iiberwachenden programmgesteuerten Einheit der 
(in der Figur 2 nicht gezeigten) zweiten Bus-Einheit 
stammende und vom ersten Kommunikations-Controller dieser 
Bus-Einheit ubertragene Kontroll-Daten und speichert diese 
in der zweiten Speichereinrichtung S2, 

- erhalt iiber den ersten Bus Bl und den Eingangsanschlufl IN3 
von der zu iiberwachenden programmgesteuerten Einheit der 
(in der Figur 2 nicht gezeigten) dritten Bus-Einheit 
stammende und vom ersten Kommunikations-Controller dieser 
Bus-Einheit iibertragene Kontroll-Daten und speichert diese 
in der dritten Speichereinrichtung S3, 

- iibertragt die von der ihr zugeordneten programmgesteuerten 
Einheit COREll erhaltenen und in der ersten Speicher- 
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erhalt liber den Eingangsanschlufl INI von der ihr zugeordne- 
ten programmgesteuerten Einheit COREll Kontroll-Daten und 
speichert diese in der ersten Speichereinrichtung SI, 

erhalt uber den zweiten Bus B2 und den Eingangsanschluli IN2 
von der zu iiberwachenden programmgesteuerten Einheit der 
zweiten Bus-Einheit stammende und vom zweiten Kommunika- 
tions-Controller dieser Bus-Einheit iibertragene Kontroll- 
Daten und speichert diese in der zweiten Speichereinrich- 
tung S2, 

erhalt iiber den zweiten Bus B2 und den Eingangsanschlufl IN3 
von der zu iiberwachenden programmgesteuerten Einheit der 
dritten Bus-Einheit stammende und vom zweiten Kommunika- 
tions-Controller dieser Bus-Einheit iibertragene Kontroll- 
Daten und speichert diese in der dritten Speichereinrich- 
tung S3, 

iibertragt die von der ihr zugeordneten programmgesteuerten 
Einheit COREll erhaltenen und in der ersten Speicher- 
einrichtung SI gespeicherten Kontroll-Daten iiber den Aus- 
gangsanschluB 0UT2 und den zweiten Bus B2 an die zweiten 
Kommunikations-Controller der zweiten Bus-Einheit und der 
dritten Bus-Einheit, 

iiberpriift durch die Vergleichseinrichtung C, ob die in den 
Speichereinrichtungen SI bis S3 gespeicherten Kontroll- 
Daten vorgegebene Bedingungen erfullen, 

entscheidet durch die Entscheidungseinrichtung D abhangig 
vom Ergebnis des von der Vergleichseinrichtung durchgefiihr- 
ten Vergleichs, ob die zugeordnete programmgesteuerte Ein- 
heit COREll in Betrieb bleiben bzw. weiterarbeiten kann 
Oder deaktiviert werden muB, 




10 
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steuert liber den Ausgangsanschlufl OUTl und das UND-Glied 
AND die zugeordnete programmgesteuerte Einheit COREll ent- 
sprechend der von der Entscheidungseinrichtung D getroffe- 
nen Entscheidung an, 

ubermittelt die von der Entscheidungseinrichtung D getrof- 
fene Entscheidung uber den Ein- und AusgabeanschluB 10 und 
den zweiten Bus B2 an die zweiten Kommunikations-Controller 
der zweiten Bus-Einheit und der dritten Bus-Einheit, und 



- empfangt uber den Ein- und Ausgabeanschlufi TO die Entschei- 
^ dungen, die durch die in den zweiten Kommunikations- 

Controllern der zweiten Bus-Einheit und der dritten Bus- 
Einheit enthaltenen Entscheidungseinrichtungen D getroffen 
15 wurden und durch die jeweiligen Kominunikations-Controller 
liber den zweiten Bus B2 zur ersten Bus-Einheit BUll uber- 
tragen werden. 

Die im dritten Kommunikations-Controller C0MM13 enthaltene 
20 Oberwachungseinrichtung 

- erhalt liber den Eingangsanschluii INI von der ihr zugeordne- 
ten programmgesteuerten Einheit COREll Kontroll-Daten und 
speichert diese in der ersten Speichereinrichtung SI, 

- erhalt liber den dritten Bus B3 und den Eingangsanschlufi IN2 
von der zu liberwachenden programmgesteuerten Einheit der 
zweiten Bus-Einheit stammende und vom dritten Kommunika- 
tions-Controller dieser Bus-Einheit libertragene Kontroll- 

30 Daten und speichert diese in der zweiten Speichereinrich- 
tung S2, 

- erhalt liber den dritten Bus B3 und den EingangsanschluB IN3 
von der zu liberwachenden programmgesteuerten Einheit der 

35 dritten Bus-Einheit stammende und vom dritten Kommunika- 

tions-Controller dieser Bus-Einheit iibertragene Kontroll- 
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Daten und speichert diese in der dritten Speichereinr ich- 
tung S3, 

ubertragt die von der ihr zugeordneten (dritten) prograiam- 
gesteuerten Einheit COREll erhaltenen und in der ersten 
Speichereinrichtung SI gespeicherten Kontroll-Daten uber 
den Ausgangsanschluli 0UT2 und den dritten Bus B3 an die 
dritten Kommunikations-Controller der zweiten Bus-Einheit 
und der dritten Bus-Einhei't , 

uberpruft durch die Vergleichseinrichtung C, ob die in den 
Speichereinrichtungen SI bis S3 gespeicherten Kontroll- 
Daten vorgegebene Bedingungen erftillen, 

entscheidet durch die Entscheidungseinrichtung D abhangig 
vom Ergebnis des von der Vergleichseinrichtung durchgefuhr 
ten VergleichS/ ob die zugeordnete programmgesteuerte Ein- 
heit COREll in Betrieb bleiben bzw. weiterarbeiten kann 
Oder deaktiviert werden mui3, 

steuert uber den AusgangsanschluB OUTl und das UND-Glied 
AND die zugeordnete programmgesteuerte Einheit COREll ent- 
sprechend der von der Entscheidungseinrichtung D getroffe- 
nen Entscheidung an, 

ubermittelt die von der Entscheidungseinrichtung D ge- 
troffene Entscheidung uber den Ein- und Ausgabeanschluii 10 
und den dritten Bus B3 an die dritten Kommunikations- 
Controller der zweiten Bus-Einheit und der dritten Bus- 
Einheit, und 

empfangt uber den Ein- und Ausgabeanschlufi 10 die Entschei 
dungen, die durch die in den dritten Kommunikations- 
Controllern der zweiten Bus-Einheit und der dritten Bus- 
Einheit enthaltenen Entscheidungseinrichtungen D getroffen 
wurden und durch die jeweiligen Kommunikations-Controller 
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tiber den dritten Bus B3 zur ersten Bus-Einheit BUll uber- 
tragen werden. 

Es durfte einleuchten, dali die beschriebenen Anordnungen 
mannigf altig modif izierbar sind. Insbesondere besteht keine 
Einschrankung darauf, 

- dafl die zu uberwachenden Systemkomponenten Bestandteil 
eines Anti-Blockier-Systems sind (die zu uberwachenden 
Systemkomponenten konnen auch Bestandteil beliebiger ande- 
rer Systeme sein) , 

- dafi die zu uberwachenden Systemkomponenten einen identi- 
schen Aufbau aufweisen und identisch betrieben werden (auf 
die beschriebene Art und Weise konnen auch Systemkomponen- 
ten iiberwacht werden, die einen unterschiedlichen Aufbau 
aufweisen und/oder unterschiedlich betrieben werden und 
"nur" die selben oder einander entsprechende Aktionen aus- 
fuhren) , 

- dafi die zu uberwachenden Systemkomponenten die selben 
Kontroll-Daten liefern (auf die beschriebene Art und Weise 
konnen auch Systemkomponenten uberwacht werden, die "nur" 
einander entsprechende oder in einem bestimmten Verhaltnis 
Oder einer bestimmten Beziehung stehende Kontroll-Daten 
liefern) 

- dafi die zu uberwachenden Systemkomponenten programm- 
gesteuerte Einheiten sind (auf die beschriebene Art und 
Weise konnen auch beliebige andere Systemkomponenten iiber- 
wacht werden) , 

- dafi die zu uberwachenden Systemkomponenten und/oder die 
ihnen zugeordneten Oberwachungseinrichtungen Uber einen 
Oder mehrere Busse miteinander verbunden sind (die zu uber- 
wachenden Systemkomponenten und die ihnen zugeordneten 
Oberwachungseinrichtungen konnen an beliebigen Stellen des 
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Systems vorgesehen und auf beliebige Art und Weise mit- 
einander verbunden sein) , 

- daii die zu uberwachenden Systemkomponenten und/oder die 
ihnen zugeordneten Uberwachungseinrichtungen bei Verbindung 
uber mehrere Busse liber drei Busse miteinander verbunden 
sind (die zu uberwachenden Systemkomponenten und die ihnen 
zugeordneten Uberwachungseinrichtungen konnen uber beliebig 
viele Busse miteinander verbunden sein) , und 

- dali die Uberwachungseinrichtungen Bestandteil von Kommuni- 
kations-Controllern sind (die Uberwachungseinrichtungen 
konnen auch Bestandteil anderer Einrichtungen oder separate 
Einrichtungen sein) . 

Auf die beschriebene Art und Weise kann unabhangig von den 
Einzelheiten der praktischen Realisierung unter alien Umstan- 
den zuverlassig erkannt werden, ob und gegebenenf alls welche 
der zu uberwachenden Systemkomponenten fehlerhaft arbeitet. 
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Patentanspruche - 

1. Anordnung zur Oberwachung des ordnungsgemalien Betriebes 
von die selben oder einander entsprechende Aktionen ausfiih- 

5 renden Komponenten (COREx) eines elektrischen Systems, 
dadurch gekennzeichnet, 
dafi jeder der zu iiberwachenden Systemkomponenten mindestens 
eine unabhangig von den zu iiberwachenden Systemkomponenten 
betreibbare eigene Oberwachungseinrichtung zugeordnet ist. 

10 

2. Anordnung nach Anspruch 1, 

^ dadurch gekennzeichnet, 

daJi die (Jberwachungseinrichtungen basierend auf einer Gegen- 
uberstellung von Kontroll-Daten, die ihnen von der jeweils 
15 zugeordneten Systemkomponente (COREx) und von den jeweils 
anderen Systemkomponenten (COREx) und/oder von den diesen 
zugeordneten Oberwachungseinrichtungen zugefuhrt werden, 
festlegen, ob die jeweils zugeordnete Systemkomponente 
ordnungsgemafi arbeitet . 

20 

3. Anordnung nach Anspruch 1 oder 2, 
dadurch gekennzeichnet, 

dafi die Oberwachungseinrichtungen die von den zu iiberwachen- 
den Systemkomponenten (COREx) und/oder von den diesen zu- 
geordneten Oberwachungseinrichtungen erhaltenen Kontroll- 
Daten daraufhin untersuchen, ob sie vorgegebene Bedingungen 
erfiillen. 

4. Anordnung nach Anspruch 3, 

30 dadurch gekennzeichnet, 

daJi die Oberwachungseinrichtungen iiberprufen, ob die von den 
zu uberwachenden Systemkomponenten (COREx) und/oder von den 
diesen zugeordneten Oberwachungseinrichtungen erhaltenen 
Kontroll-Daten libereinstimmen oder einander entsprechen. 

35 

5. Anordnung nach Anspruch 3, 
dadurch gekennzeichnet. 
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dafi die Oberwachungseinrichtungen Uberpriifen, ob die von den 
zu uberwachenden Systemkomponenten (COREx) und/oder von den 
diesen zugeordneten Oberwachungseinrichtungen erhaltenen 
Kontroll-Daten in einem vorbestimmten Verhaltnis oder einer 
5 vorbestimmten Beziehung zueinander stehen. 

6. Anordnung nach Anspruch 3, 
dadurch gekennzeichnet, 

daB die Oberwachungseinrichtungen uberprufen, ob die von den 
10 zu uberwachenden Systemkomponenten (COREx) und/oder von den 

diesen zugeordneten Oberwachungseinrichtungen erhaltenen 
^ Kontroll-Daten vorbestimmte Daten sind. 

7. Anordnung nach einem der Anspriiche 3 bis 
15 d a d u r c h gekennzeichnet, 

daii im Fall, dafi die Kontroll-Daten einer der 
den Systemkomponenten (COREx) die vorgegebene 
erfulien, veranlalit wird, daft die betreffende 
nente nicht weiterarbeitet . 

20 

8. Anordnung nach Anspruch 1, 
dadurch gekennzeichnet, 
daft die Veranlassung, daft die betreffende Systemkomponente 

• (COREx) nicht weiterarbeitet , durch eine der Oberwachungs- 
einrichtungen erfolgt, die der betreffenden Systemkomponente 
zugeordnet sind. 

9. Anordnung nach T^spruch 8, 
dadurch gekennzeichnet, 

30 daft die zu uberwachenden Systemkomponenten (COREx) so auf- 
gebaut sind und betrieben werden, daft sie die ihnen eigent- 
lich obliegende Aufgabe nur erfiillen oder fortsetzen, wenn 
ihnen ein Freigabesignal zugefuhrt wird. 

35 10. Anordnung nach TVnspruch 9, 

dadurch gekennzeichnet. 
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dali das Freigabesignal von der der zu uberwachenden System- 
komponente (COREx) zugeordneten Uberwachungseinrichtung er- 
zeugt wird. 

5 11. Anordnung nach Anspruch 9, 

dadurch gekennzeichnet, 
dali das Freigabesignal durch eine logische Verkniipfung von 
Steuersignalen gebildet wird, welche die einer jeweiligen 
Systemkomponente (COREx) zugeordneten Oberwachungseinrichtun- 
10 gen abhangig davon, ob die von der Systemkomponente ausgege- 
benen Kontroll-Daten die vorgegebenen Bedingungen erfullen 
Oder nicht, erzeugen und ausgeben. 

12. Anordnung nach einem der vorhergehenden Anspriiche/ 
15 dadurch gekennzeichnet, 

daR die zu Uberwachenden Systemkomponenten (COREx) programm- 
gesteuerte Einheiten sind. 

13. Anordnung nach einem der vorhergehenden Anspriiche, 
20 dadurch gekennzeichnet, 

daB die zu uberwachenden Systemkomponenten (COREx) Bestand- 
. teil von verschiedenen Bus-Einheiten (BUx) eines Bus-Systems 
sind. 

/^^5 14. Anordnung nach Anspruch 13, . 

dadurch gekennzeichnet, 

daB die Oberwachungseinrichtungen Bestandteil der Kommunika- 
tions-Controller (COMMx) der Bus-Einheiten (BUx) sind, durch 
welche zu anderen Bus-Einheiten zu ubertragende Daten auf den 
30 Bus (BUS, Bl - B3) ausgegeben werden, und durch welche uber 
den Bus zu der betreffenden Bus-Einheit iibertragene Daten 
entgegengenommen werden. 
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15. 7\nordnung nach Anspruch 13 oder 14, 
dadurch gekennzeichnet. 



dalJ die die zu uberwachenden Systemkomponenten (COREx) ent- 
haltenden Bus-Einheiten (BUx) uber mehrere Busse (Bl - B3) 
miteinander verbunden sind. 

16. 7\nordnung nach Anspruch 15, 
dadurch gekennzeichnet, 

dafl die Bus-Einheiten (BUx) eine der Anzahl der Busse (Bl - 
B3) , iiber welche sie miteinander verbunden sind, entspre- 
chende TVnzahl von Kommunikations-Controllern (COMMx) enthal- 
ten, wobei jeder Kommunikations-Controller mit einem anderen 
Bus verbunden ist. 

17. Anordnung nach Anspruch 16, 
dadurch gekennzeichnet, 

daB in jedem der Kommunikations-Controller (COMMx) eine t)ber- 
wachungseinrichtung vorgesehen ist . 
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Zusamitienf assung 

Anordnung zur Uberwachung des ordnungsgemaBen Betriebes von 
die selben oder einander entsprechende Aktionen ausfuhrenden 
5 Komponenten eines elektrischen Systems 

Die beschriebene Anordnung zeichnet sich dadurch aus, daR 
jeder der zu uberwachenden Systemkomponenten mindestens eine 
unabhangig von den zu uberwachenden Systemkomponenten be- 
0 treibbare eigene Oberwachungseinrichtung zugeordnet ist. 

Durch eine solche Anordnung kann unter alien Umstanden zu- 
^ verlassig erkannt werden, ob und gegebenenf alls welche der zu 
' uberwachenden Systemkomponenten fehlerhaft arbeitet. 
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